Accord de traitement des données

Version : 12 octobre 2026

entre

le client désigné dans le Contrat principal, en qualité de responsable du traitement

et

Essential Code GmbH, Glücksallee 8/Top 1, 3012 Wolfsgraben, Autriche, numéro FN 605928x, inscrite auprès du tribunal régional de St. Pölten, en qualité de sous-traitante

1. Relation avec le Contrat principal

1.1 Le présent Accord régit le traitement de données personnelles réalisé par la sous-traitante pour le compte du responsable du traitement dans le cadre de Glasswise. Il complète le contrat d’utilisation de Glasswise et les conditions applicables, ensemble le « Contrat principal ».

1.2 Il précise les obligations de l’article 28 du règlement (UE) 2016/679, le « RGPD », et de la loi autrichienne sur la protection des données, le « DSG ». En cas de contradiction relative au traitement de données personnelles, le présent Accord prévaut.

1.3 Lorsqu’une partie traite des données pour ses propres finalités, elle agit dans son propre rôle au regard du droit de la protection des données.

2. Objet et durée

2.1 L’objet est la fourniture d’un logiciel pour étiquettes numériques de vin, codes QR et GS1 Digital Links, avec les fonctions associées d’hébergement, gestion de comptes, assistance, messages opérationnels, production de documents, redirection et analyse d’utilisation.

2.2 Le traitement commence à l’activation du service et dure jusqu’à la fin du Contrat principal. Les obligations de confidentialité, restitution, suppression, preuve et responsabilité qui doivent survivre par leur nature restent applicables.

3. Nature et finalités du traitement

3.1 Les données ne sont traitées que dans la mesure nécessaire pour fournir, sécuriser, maintenir et assister Glasswise. Les opérations comprennent collecte, enregistrement, organisation, conservation, consultation, utilisation, transmission, mise à disposition, rapprochement, limitation et suppression.

3.2 Les finalités comprennent notamment:

• la gestion des comptes, organisations, rôles et autorisations
• la création et la diffusion d’étiquettes numériques, destinations QR, GS1 Digital Links et fiches techniques
• les redirections et la journalisation techniquement nécessaire des accès
• l’envoi de messages transactionnels et de service
• l’analyse d’erreurs, la sécurité, la prévention des abus et l’assistance
• le partage des données publiées des étiquettes électroniques avec E-Label Atlas, la base partagée d’étiquettes électroniques exploitée par Essential Code, en tant que partie du service lorsque le responsable l’active

3.3 Le traitement pour les finalités propres de la sous-traitante n’est pas couvert et exige une base juridique distincte ainsi qu’une information transparente.

4. Personnes concernées et catégories de données

4.1 Les personnes concernées peuvent être le personnel, les dirigeants, mandataires et autres utilisateurs du responsable; les partenaires commerciaux, embouteilleurs, producteurs, importateurs, distributeurs et leurs contacts; les personnes consultant les étiquettes ou liens; et les personnes demandant une assistance ou citées dans un contenu fourni.

4.2 Les données peuvent comprendre:

• les données d’identité et de contact telles que le nom, l’adresse électronique professionnelle, le numéro de téléphone, l’entreprise et la fonction
• les données de compte, d’organisation cliente, de rôle et d’autorisation
• les données relatives au produit, au vin, au millésime, aux ingrédients, à la nutrition, à l’origine, à l’opérateur et à l’étiquetage lorsqu’elles sont personnelles
• les données de lien, de code QR, d’accès et d’usage telles que l’heure, la destination, la page référente, le pays, le type d’appareil et les métadonnées du navigateur et du réseau
• les données de message, d’assistance, d’erreur et de journal
• les identifiants techniques, les identifiants de services externes et les données d’abonnement et de statut
• les fichiers, images et contenus de fiches téléversés par le responsable

4.3 Les catégories particulières de l’article 9 RGPD et les données de l’article 10 RGPD ne sont pas prévues. Elles ne doivent pas être transmises sans accord écrit préalable.

5. Instructions et obligations du responsable du traitement

5.1 La sous-traitante ne traite les données que sur instruction documentée, sauf obligation du droit de l’Union ou autrichien. Dans la mesure permise, elle informe le responsable avant un tel traitement.

5.2 Le Contrat principal, l’utilisation des fonctions prévues, les demandes d’assistance et les instructions écrites constituent des instructions documentées. Une extension importante du service, de l’effort ou du risque peut exiger un accord distinct.

5.3 Si elle estime une instruction illicite, la sous-traitante en informe rapidement le responsable et peut la suspendre jusqu’à clarification.

5.4 Le responsable répond de la licéité, transparence, minimisation, exactitude, des bases juridiques, consentements et réponses aux personnes concernées. Il limite les accès aux personnes autorisées et ne transmet pas les données exclues par l’article 4.3.

6. Obligations de la sous-traitante et confidentialité

6.1 Les personnes autorisées sont tenues à la confidentialité ou soumises à une obligation légale appropriée. Cette obligation survit à la fin de leur mission.

6.2 La sous-traitante met en œuvre et maintient toutes les mesures techniques et organisationnelles requises par l’article 32 RGPD. L’Annexe 2 décrit la mise en œuvre actuellement vérifiée dans la configuration ou le code et ne limite pas cette obligation fondée sur les risques. L’accès est limité à ce qui est nécessaire à l’exploitation, à la sécurité et à l’assistance.

6.3 Compte tenu de la nature du traitement et des informations disponibles, la sous-traitante aide à respecter les articles 32 à 36 RGPD et les obligations applicables du DSG.

6.4 Lorsque la loi le permet, les demandes d’autorités concernant les données du responsable lui sont renvoyées. Il est informé avant une divulgation obligatoire lorsque la loi le permet.

7. Droits des personnes et analyse d’impact

7.1 La sous-traitante aide, par des mesures appropriées, à traiter les demandes d’accès, rectification, effacement, limitation, portabilité et opposition.

7.2 Une demande reçue directement et concernant les données du responsable lui est transmise sans retard injustifié. La sous-traitante ne répond en son nom que sur instruction documentée.

7.3 Sur demande raisonnable, elle fournit les informations disponibles pour les analyses d’impact et consultations préalables. Un travail supplémentaire exceptionnel peut être facturé après accord, sauf s’il résulte d’un manquement de la sous-traitante.

8. Violations de données personnelles

8.1 Une violation touchant les données du responsable est notifiée sans retard injustifié et au plus tard 48 heures après que la sous-traitante en a pris connaissance. Une enquête inachevée ne reporte pas la notification initiale.

8.2 La notification décrit, selon les informations disponibles, l’incident, les données et personnes touchées, les conséquences probables, les mesures prises ou proposées et un point de contact. Les informations manquantes suivent sans retard injustifié.

8.3 Des mesures raisonnables de confinement, correction et enquête sont prises et l’incident est documenté. La notification ne constitue pas une reconnaissance de manquement ou de responsabilité.

9. Sous-traitants ultérieurs

9.1 Le responsable donne une autorisation générale aux sous-traitants ultérieurs de l’Annexe 1.

9.2 La sous-traitante donne un préavis d’au moins 30 jours avant tout ajout ou remplacement. Le responsable peut s’y opposer pour des motifs raisonnables de protection des données dans les 14 jours de réception.

9.3 Les parties recherchent une solution raisonnable. À défaut, la sous-traitante peut ne pas fournir la fonction concernée ou le responsable peut résilier pour motif légitime la partie concernée du service. Les autres droits restent inchangés.

9.4 La sous-traitante lie chaque sous-traitant ultérieur, par contrat ou autre acte juridique permis par le droit de l’Union ou d’un État membre, aux mêmes obligations applicables de protection des données, y compris aux mesures techniques et organisationnelles appropriées de l’article 32 RGPD. Elle reste pleinement responsable envers le responsable conformément à l’article 28, paragraphe 4, RGPD.

10. Traitement hors de l’EEE

10.1 Un transfert vers un pays tiers ou une organisation internationale exige une instruction documentée et le respect du chapitre V RGPD. Lorsque le droit de l’Union ou autrichien exige le traitement, l’article 5.1 s’applique et les exigences de transfert applicables restent inchangées.

10.2 En l’absence de décision d’adéquation, un instrument autorisé est utilisé, notamment les clauses contractuelles types de la Commission européenne, avec des mesures supplémentaires appropriées si nécessaire.

10.3 Avant un transfert, les parties déterminent, d’après leurs rôles réels, le module correct des clauses contractuelles types et les parties contractantes. La sous-traitante conclut elle-même les clauses en qualité d’exportatrice lorsque cela est requis pour un transfert entre sous-traitants. Elle n’agit au nom du responsable que si le module correct l’exige et si le responsable a documenté séparément son autorisation. Les informations relatives à l’instrument sont fournies sur demande, sous réserve de confidentialité et de sécurité.

11. Restitution et suppression

11.1 À la fin des services, la sous-traitante restitue les données dans un format courant disponible ou les supprime, au choix du responsable. Après restitution, elle supprime toutes les copies restantes, y compris celles détenues par les sous-traitants ultérieurs, sauf obligation de conservation du droit de l’Union ou autrichien.

11.2 La restitution ou l’exportation reste disponible pendant la période de transition et pendant toute la période de récupération applicable. La suppression n’intervient qu’après le respect des garanties applicables à la récupération, sous réserve des obligations légales de conservation et des instructions licites et documentées du responsable.

11.3 Les données conservées en vertu de la loi et les sauvegardes subsistant temporairement jusqu’à la fin de leur cycle confirmé sont limitées, protégées contre toute réutilisation et traitées uniquement aux fins de conservation ou de restauration applicables.

12. Preuves et audits

12.1 La sous-traitante fournit les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 RGPD.

12.2 La sous-traitante autorise les audits et inspections nécessaires menés par le responsable ou un auditeur indépendant tenu à la confidentialité et y contribue. Un audit par année civile est prévu dans le cours normal des activités; des audits supplémentaires sont permis en cas de soupçon raisonnable, d’incident important, d’exigence réglementaire ou d’autre nécessité de démontrer la conformité. L’examen documentaire et les rapports existants sont utilisés en premier lorsque cela est possible.

12.3 Un audit est normalement annoncé deux semaines à l’avance, réalisé pendant les heures ouvrables et ne doit pas perturber de façon déraisonnable l’exploitation, la sécurité, les autres clients ou les informations confidentielles. Le responsable supporte les coûts, sauf constat d’un manquement important de la sous-traitante. Ces modalités ne doivent pas empêcher ni retarder de manière déraisonnable les droits légaux d’audit effectifs ou les inspections réglementaires urgentes.

12.4 La sous-traitante informe le responsable si elle estime qu’un audit ou une instruction enfreint le droit de la protection des données.

13. Responsabilité et ordre de priorité

13.1 La responsabilité est régie par l’article 82 RGPD et, dans la mesure permise, par le Contrat principal. Les droits impératifs des personnes concernées et pouvoirs des autorités restent inchangés.

13.2 Aucune disposition ne limite une responsabilité que la loi applicable interdit de limiter.

14. Droit, juridiction et dispositions finales

14.1 Le droit autrichien s’applique, à l’exclusion de ses règles de conflit et de la Convention des Nations unies sur la vente internationale de marchandises.

14.2 Dans la mesure permise, le tribunal matériellement compétent de St. Pölten, Autriche, a compétence exclusive.

14.3 Les modifications exigent la forme textuelle. L’invalidité d’une disposition n’affecte pas les autres. Elle sera remplacée par une disposition valide réalisant au mieux sa finalité commerciale et de protection des données.

Annexe 1: Sous-traitants ultérieurs approuvés

Prestataire	Finalité	Données	Lieu ou région et base de transfert
Nhost AB, Tallåsstigen 4, 141 71 Segeltorp, Suède	Authentification, base de données, stockage objet, backend et fonctions	Comptes, organisations, rôles, produits, contenus, fichiers et journaux	Point de production eu-central-1, Francfort; les transferts hors EEE exigent un consentement écrit préalable et reposent sur les clauses contractuelles types de l’UE, sauf accord contraire
Vercel, Inc.	Hébergement de l’administration et diffusion des étiquettes	Requêtes, journaux, identifiants techniques et contenu diffusé	Région fra1, Francfort; traitement global éventuel pour assistance et sécurité avec garanties appropriées, notamment clauses types
Dub Technologies, Inc., 2261 Market Street STE 5906, San Francisco, CA 94114, États-Unis	Liens courts, redirections, règles géographiques et statistiques	URL cible, identifiants du lien et de l’organisation cliente, pays, appareil et métadonnées de requête	États-Unis et autres pays où Dub ou ses sous-traitants opèrent; les clauses contractuelles types de l’UE s’appliquent aux transferts vers des pays sans décision d’adéquation
AC PM LLC, 1 North Dearborn Street, 5th floor, Chicago, IL 60602, États-Unis, service Postmark	Courriels transactionnels et de service	Adresse, nom, contenu, données de modèle et pièces jointes éventuelles	Données et serveurs principaux dans le centre de données Deft près de Chicago et chez Amazon Web Services; cadre de protection des données UE-États-Unis, complété si nécessaire par les clauses contractuelles types de l’UE pour les transferts réglementés
PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, États-Unis	Analyse du produit et diagnostic d’erreurs sur instruction du responsable; les traitements pour les finalités propres de la sous-traitante ne sont pas couverts par cette autorisation	Identifiants utilisateur et d’organisation cliente, courriel, nom, événements de page et usage, contexte d’erreur	Point UE eu.i.posthog.com; les données hébergées dans l’UE sont stockées et traitées en Allemagne; cadre de protection des données UE-États-Unis et clauses contractuelles types de l’UE
Gleap GmbH, Am Dorfplatz 3, 6858 Schwarzach, Autriche	Assistance, retours et diagnostic sur instruction du responsable; les traitements pour les finalités propres de la sous-traitante ne sont pas couverts par cette autorisation	Identifiant, nom, courriel, contenu d’assistance, abonnement et état	Hébergement du contenu client à Francfort, Allemagne, ou à NYC3, New York, États-Unis, selon la région choisie; d’autres traitements peuvent avoir lieu hors de la région choisie
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis	Protection Turnstile contre robots et abus	Adresse IP, navigateur, appareil, requête et données de défi	Les informations sont principalement stockées aux États-Unis et dans l’EEE et peuvent être consultées dans le monde entier; cadre de protection des données UE-États-Unis, remplacé par les clauses contractuelles types assorties de mesures supplémentaires si cette certification devient invalide
PDFMonkey, 49 rue de Ponthieu, Lot 41, 75008 Paris, France	Production de fiches PDF	Produit, vin, opérateur, images et documents lorsqu’ils sont personnels	Serveurs d’application, stockage de fichiers et production de documents à Paris, France; base de données à Francfort, Allemagne

Annexe 2: Mesures techniques et organisationnelles

Seules les mesures vérifiables dans la configuration ou le code actuels sont listées. Aucune certification n’est déclarée.

1. Chiffrement en transit: les points d’accès publics d’application, API, stockage et webhook utilisent HTTPS.
2. Authentification: pour les comptes utilisant un courriel et un mot de passe, Nhost est configuré pour exiger la vérification du courriel et un mot de passe d’au moins neuf caractères. Des jetons d’accès de courte durée et jetons de renouvellement distincts sont configurés.
3. Autorisation et séparation des organisations clientes: les droits tiennent compte des rôles, appartenances aux comptes et organisations clientes. Les actions privilégiées utilisent des droits côté serveur.
4. Durcissement de production: le mode développement de Hasura est désactivé et l’origine CORS configurée pour Hasura est l’application d’administration.
5. Prévention des abus: Turnstile et des limites de requêtes sont configurés pour l’authentification.
6. Intégrité des appels externes: les événements entrants utilisent des signatures ou secrets partagés lorsque l’intégration le prévoit. Les entrées sont contrôlées par rapport à des schémas définis.
7. Configuration régionale: le backend de production est en eu-central-1; l’administration et l’application d’étiquettes utilisent fra1.
8. Confidentialité et accès minimal: l’article 6 impose confidentialité et nécessité aux personnes disposant d’un accès administratif.

Les mesures non énumérées ici relèvent de l’obligation fondée sur les risques prévue à l’article 6.2 et ne sont pas présentées comme des caractéristiques contractuelles vérifiées séparément.